Aztec Connect Kehilangan $2,1 Juta: Kontrak 'Zombie' Jadi Bom Waktu di DeFi Tiga Tahun Setelah Dinonaktifkan

Sebuah kontrak pintar (smart contract) yang tidak aktif dan ditinggalkan di jaringan Ethereum telah menjadi cerita peringatan terbaru bagi dunia keuangan terdesentralisasi (DeFi). Pada 14 Juni 2026, seorang peretas berhasil menguras aset kripto senilai sekitar $2,1 juta (sekitar Rp34 miliar) dari Aztec Connect, sebuah jembatan ZK-rollup yang berfokus pada privasi dan telah dimatikan oleh tim Aztec Labs pada Maret 2023 . Peretasan ini bukan berasal dari kerentanan produk yang masih aktif, melainkan dari celah di kontrak yang sengaja dilucuti seluruh kendali administratifnya, membuatnya terkunci selamanya—dan selamanya rentan.

Firma keamanan CertiK pertama kali menandai aktivitas mencurigakan dari kontrak RollupProcessorV3, router utama untuk rollup usang Aztec Connect, dengan dompet peretas yang teridentifikasi sebagai 0x0f18d8b44a740272f0be4d08338d2b165b7edd17 . Total kerugian diperkirakan sekitar $2,19 juta oleh CertiK, sementara Aztec Labs menyebut angka mendekati $2,1 juta . Aset yang dicuri meliputi sekitar 909 ETH, 270.000 DAI, 167 wstETH, serta token vault Yearn seperti yvDAI, yvWETH, dan yvLUSD .

Bagaimana peretas mengakali verifikasi ZK-rollup

Eksploitasi ini menyasar batas antara logika verifikasi zero-knowledge proof dan pemrosesan penyelesaian (settlement) di Layer 1 Ethereum. Menurut CertiK, salah satu fungsi verifikasi kontrak hanya memeriksa bagian awal dari proof yang dikirimkan, artinya parameter yang digunakan untuk mengotorisasi transfer token tidak pernah divalidasi sepenuhnya . Ini memungkinkan peretas mengirimkan proof yang lolos pemeriksaan awal namun berisi instruksi penarikan berbahaya di bagian data yang lebih dalam.

Analisis selanjutnya oleh SlowMist mengidentifikasi akar masalah pada batas traversal dari loop settlement L1 di dalam RollupV3. Peretas mengeksploitasi ketidaksesuaian antara numRealTxs dan decoded_slots, yang memungkinkan pengiriman 31 slot kosong ke state root L2 melalui ZK proof sambil menghindari verifikasi penuh di lapisan kontrak L1 . Peretas pada akhirnya membuat 14 ZK-rollup proof; tujuh proof terakhir masing-masing menguras aset yang berbeda dari kontrak dalam transaksi terpisah .

Pelepasan kendali yang disengaja

Yang membuat insiden ini unik adalah serangan ini secara struktural tidak dapat dihentikan—dan memang begitu desainnya. Aztec Connect dimatikan pada Maret 2023, dan pengguna diberi waktu lebih dari setahun untuk menarik dana mereka . Pada 2024, Aztec Labs melangkah lebih jauh dengan sengaja melepaskan semua kunci admin dan kendali atas sistem. Kontraknya menjadi sepenuhnya tak dapat diubah (immutable): tidak ada mekanisme upgrade, tidak ada pemilik, dan yang paling krusial, tidak ada fungsi untuk menjeda (pause) .

“Aztec Connect telah dimatikan 3 tahun lalu. Aztec Labs tidak memegang kunci admin atau kendali apa pun atas sistem; sistem ini tidak dapat dijeda atau di-upgrade,” tegas tim tersebut di platform X beberapa jam setelah eksploitasi, mengonfirmasi sekitar $2,1 juta telah berpindah dari kontrak abadi itu . Mereka menekankan bahwa Jaringan Aztec saat ini dan token AZTEC ERC-20 tidak terpengaruh, namun mengakui tidak ada mekanisme untuk memulihkan dana yang hilang .

Meskipun ada jendela penarikan yang panjang dan komunikasi seputar penutupan, sekitar $2,1 juta aset pengguna yang tersisa tetap terkunci di dalam kontrak lama pada saat serangan terjadi . Dana tersebut berada dalam semacam ketidakpastian (limbo): tidak ada yang bisa mengambilnya secara sah tanpa berinteraksi dengan rollup yang sudah usang, dan tidak ada yang bisa turun tangan ketika celah keamanan dipicu.

Risiko yang lebih luas: kontrak 'zombie' di DeFi

Eksploitasi Aztec Connect adalah ilustrasi sempurna dari masalah "kontrak zombie" di keuangan terdesentralisasi. Kontrak pintar yang tak dapat diubah tidak begitu saja lenyap ketika sebuah proyek dimatikan. Mereka tetap ada di on-chain dengan logika—dan nilai—apa pun yang dikandungnya, seringkali menahan aset pengguna tanpa batas waktu. Ketika kunci admin dilepaskan demi mengejar desentralisasi penuh, kontrak tersebut menjadi honeypot (umpan madu) permanen yang tidak dapat ditambal. Setiap kerentanan yang belum ditemukan menjadi bom waktu yang bisa meledak bertahun-tahun kemudian tanpa ada jalan keluar .

Risiko ini bersifat asimetris. Proyek yang melepaskan kendali memang mendapatkan kredibilitas karena tidak memiliki 'pintu belakang' (backdoor), tetapi pengguna yang gagal menarik dana selama masa transisi menanggung seluruh kerugiannya. Kasus Aztec menunjukkan bahwa bahkan setelah tiga tahun, jutaan dolar bisa tetap terperangkap dalam kontrak yang dikira semua orang sudah 'mati'.

Bagi tim DeFi yang berencana menghentikan suatu protokol, pelajarannya sangat jelas. Sebelum melepaskan kunci admin, proyek harus memaksa penyelesaian semua penarikan dana atau menerapkan mekanisme darurat berbasis timelock yang tidak memerlukan kendali admin jangka panjang. Tanpa perlindungan tersebut, infrastruktur yang ditinggalkan namun abadi pasti akan menarik peretas yang bersedia mencari celah yang tidak akan pernah bisa diperbaiki .